Les centres des opérations de sécurité pourraient compter 50 % d’ingénieurs de plus que d’analystes d’ici 2028, selon un rapport de Gartner publié en 2026 sur les fonctions nécessaires aux SOC dotés d’IA. Cette prévision reflète une évolution : les agents d’IA prennent en charge le traitement des alertes courantes et les travaux d’investigation, ce qui modifie la manière dont les équipes consacrent leur temps et mobilisent leurs compétences.

Le rapport, rédigé par l’analyste Pete Shoard, avance que le traitement des alertes ne devrait plus rester la fonction principale du SOC. Au lieu de se concentrer sur le tri des alertes, les analystes humains devraient prendre en charge les dossiers : vérifier les conclusions d’un agent, décider de la réponse appropriée et communiquer les options disponibles aux personnes chargées d’agir.

Gartner indique également que les dossiers constitués par l’IA nécessitent toujours un examen humain approfondi. Les analystes passeront davantage de temps à évaluer si les éléments disponibles étayent une conclusion, plutôt qu’à élaborer chaque verdict de toutes pièces. Le rapport ne prévoit pas une réduction des effectifs des équipes SOC d’ici 2030 ; il s’attend plutôt à une réorientation du travail vers l’ingénierie de la détection, l’expertise en matière de menaces, les tests offensifs et la gestion de l’exposition.

Cette évolution soulève aussi des questions sur la manière dont les employés débutants acquièrent de l’expérience. Le triage de niveau 1 a traditionnellement exposé les nouveaux analystes à des alertes répétées et les a aidés à apprendre ce qui est normal au sein de leur organisation. Si les agents d’IA prennent en charge ce travail, les équipes devront trouver d’autres moyens de développer ces compétences. Le rapport de Gartner aborde l’évolution des rôles L1 et L2, de la formation et des effectifs.

L’article source décrit plusieurs façons de remplacer cette expérience : permettre aux analystes débutants d’étudier les requêtes d’un agent et les éléments qu’il a recueillis, leur confier des dossiers à faible risque sous la supervision d’un analyste senior, et les associer aux retours destinés à améliorer les investigations de l’IA. Il déconseille également aux analystes de se contenter d’accepter la réponse d’un agent et suggère qu’ils évaluent de manière indépendante un échantillon de dossiers avant de comparer leurs conclusions à celles de l’IA.

Les activités d’ingénierie devraient s’étendre au-delà de la rédaction de règles de détection. Gartner recommande de mettre à jour les descriptions de poste en ingénierie de la détection afin d’y inclure la conception de prompts, les tests de flux de travail et la validation des résultats de l’IA, ainsi que des pratiques d’ingénierie logicielle comme le contrôle de version, les tests et la possibilité de revenir à une version antérieure. Ces responsabilités contribuent au fonctionnement et à la supervision des agents en production.

Le rapport souligne également que la recherche proactive de menaces pourrait bénéficier du temps libéré par l’automatisation. Dans l’enquête 2026 de Prophet Security, intitulée State of AI in Security Operations, menée auprès de plus de 250 RSSI, responsables de SOC et professionnels, 49 % des équipes qui menaient des recherches de menaces chaque semaine ou plus souvent ont déclaré qu’une recherche avait révélé une activité malveillante passée inaperçue par leurs systèmes de détection. Parmi les équipes ayant indiqué la fréquence de recherche la plus faible, ce chiffre était de 8 %.

Gartner recommande de modifier la mesure des performances des SOC, en délaissant l’accent mis sur le volume d’alertes et les taux de clôture au profit de la précision des dossiers, de leur délai de traitement et du degré de confiance dans les décisions. Le nombre d’alertes peut toujours aider à planifier les capacités, mais le rapport estime qu’il donne peu d’indications sur la justesse d’une décision.

La gestion de l’exposition est une autre fonction que Gartner prévoit de voir se développer dans les SOC. Le rapport recommande de faire de la gestion continue de l’exposition aux menaces une activité régulière, plutôt que de ne la mener qu’une fois par an ou par trimestre. Il prévoit également que, d’ici 2030, les SOC seront largement orientés vers l’offensive et testeront leurs propres organisations d’une manière qui reflète les méthodes des attaquants.

L’article est sponsorisé et rédigé par Prophet Security, qui propose le rapport de Gartner en téléchargement gratuit. Ses recommandations comprennent l’examen des fonctions actuelles, la mise à jour des exigences en ingénierie, la planification de nouveaux parcours professionnels pour les débutants et l’établissement de mesures de référence avant le déploiement d’agents d’IA.

Sources: BleepingComputer.